B2B-Besuchererkennung in Texas

In der Regel nicht. Der TDPSA definiert einen „Verbraucher“ als Einwohner von Texas, der ausschließlich in individuellem oder häuslichem Kontext handelt, und schließt Personen ausdrücklich aus, die geschäftlich oder beruflich auftreten — etwa ein Mitarbeiter, der im Namen seines Unternehmens eine Demo anfragt, oder ein Einkaufskontakt, der Geschäftsdaten austauscht. Dieser Ausschluss bedeutet, dass gewöhnliche B2B-Kontaktdaten, etwa eine über ein Lead-Formular übermittelte dienstliche E-Mail-Adresse, typischerweise außerhalb der Verbraucherrechte des Gesetzes liegen, auch wenn dasselbe Unternehmen für andere Daten separat ein erfasster Verantwortlicher sein kann. Ob ein konkreter Datensatz darunterfällt, hängt von Erhebung und Nutzung ab, und die Grenze zwischen geschäftlichem und individuellem Kontext ist in gemischten Datensätzen nicht immer eindeutig. Dies ist keine Rechtsberatung; ein texanisches Unternehmen sollte seine tatsächlichen Datenflüsse anwaltlich gegen die Gesetzesdefinition prüfen lassen, bevor es sich auf die Ausnahme verlässt.

Nein, und genau das macht den TDPSA im Vergleich zu Virginia, Colorado, Connecticut und den meisten vergleichbaren Landesgesetzen ungewöhnlich. Diese Gesetze befreien kleinere Unternehmen üblicherweise über eine Umsatzuntergrenze oder eine Mindestzahl jährlich verarbeiteter Verbraucherdatensätze. Der TDPSA gilt dagegen für jedes Unternehmen, das in Texas Geschäfte macht, personenbezogene Daten verarbeitet oder verkauft und nicht der Definition eines Kleinunternehmens der U.S. Small Business Administration entspricht — ein Maßstab, der je nach Branche variiert und auf Faktoren wie Mitarbeiterzahl oder Jahresumsatz beruht, nicht auf einer festen, im Gesetz genannten Summe. Das bedeutet: Ein Unternehmen, das unter den Umsatzschwellen von Virginia oder Colorado befreit wäre, kann in Texas trotzdem ein erfasster Verantwortlicher sein — die Anwendbarkeit muss also anhand der SBA-Größenstandards für die jeweilige Branche geprüft werden, nicht anhand von Erfahrungen mit Gesetzen anderer Bundesstaaten.

Die Durchsetzung des TDPSA liegt ausschließlich beim Texas Attorney General; es gibt kein privates Klagerecht, das heißt einzelne Verbraucher können ein Unternehmen nicht direkt wegen eines mutmaßlichen Verstoßes verklagen, und es gibt keine eigene Datenschutzbehörde wie die CPPA in Kalifornien. Bevor der Attorney General ein Verfahren einleitet, muss er dem Verantwortlichen oder Auftragsverarbeiter schriftlich Bescheid geben und eine 30-tägige Frist zur Behebung des mutmaßlichen Verstoßes einräumen — ein definiertes Zeitfenster, um eine Praxis zu korrigieren, bevor Sanktionen drohen. Diese Frist steht direkt im Gesetz und liegt nicht im Ermessen der Behörde, was eine spürbar andere Durchsetzungshaltung ist als in Bundesstaaten ohne verpflichtende Nachbesserungsfrist. Das ändert nichts daran, ob eine bestimmte Datenpraxis von vornherein rechtskonform ist, sondern nur, wie ein mutmaßlicher Verstoß verfahrensrechtlich behandelt wird.

Der Unterschied ist strukturell, nicht zufällig. Unter CCPA/CPRA sind die früheren, befristeten Ausnahmen für B2B- und Mitarbeiterdaten zum 1. Januar 2023 ausgelaufen, sodass geschäftliche Kontakt- und arbeitsbezogene Daten inzwischen vollständig unter Kaliforniens Verbraucherrechte fallen und gemeinsam von der California Privacy Protection Agency und dem Attorney General durchgesetzt werden. Der TDPSA hatte nie eine vergleichbare Ausnahme, die auslaufen konnte — seine Definition von „Verbraucher“ schließt geschäftliche und berufliche Kontexte von Anfang an aus, sodass der Ausschluss dauerhaft in den Kerndefinitionen des Gesetzes verankert ist statt eine abgelaufene Übergangsregelung zu sein. Ein Unternehmen, das ausschließlich nach Texas verkauft, hat daher einen engeren datenschutzrechtlichen Prüfbereich für B2B-Kontaktdaten als ein vergleichbares, nach Kalifornien verkaufendes Unternehmen — beide sollten ihre Datenflüsse trotzdem sorgfältig dokumentieren, statt sich auf einen allgemeinen Eindruck des jeweiligen Landesrechts zu verlassen.

lead.box ermittelt das Unternehmen hinter einem Website-Besuch anhand netzwerkbezogener und firmografischer Signale — Firmenname, Branche und Größenklasse —, statt eine namentlich bekannte Person zu identifizieren, einen dauerhaften Geräteidentifikator zu setzen oder ein Profil des Surfverhaltens einer Person über verschiedene Websites hinweg aufzubauen. Da sich die TDPSA-Definition von „Verbraucher“ auf eine identifizierte oder vernünftigerweise identifizierbare Person im individuellen oder häuslichen Kontext bezieht, liegt die Erkennung auf Firmenebene bereits deshalb außerhalb dieser Kategorie, weil überhaupt keine Person aufgelöst wird — eine eigenständige und möglicherweise grundlegendere Unterscheidung als die an anderer Stelle beschriebene Ausnahme für geschäftlichen Kontext. Die Prüfung gegen die eigene Datenschutzerklärung und die konkrete Implementierung bleibt Aufgabe des Verantwortlichen; dies sind allgemeine Informationen, keine Rechtsauskunft zu Ihrer Einrichtung.

Seit 1. Januar 2025 verlangen Ergänzungen des TDPSA von Verantwortlichen, die sensible Datenkategorien oder biometrische Identifikatoren verarbeiten, einen klaren Hinweis auf diese Verarbeitung, üblicherweise vor oder bei der Erhebung, zusätzlich zur allgemeineren Pflicht größerer Verantwortlicher und Auftragsverarbeiter, universelle Opt-out-Mechanismen anzuerkennen. Die Erkennung auf Firmenebene verarbeitet weder biometrische Identifikatoren wie Fingerabdrücke oder Gesichtsgeometrie noch die im TDPSA definierten sensiblen Kategorien zu einer identifizierten Person, sodass diese konkreten Hinweispflichten durch diese Aktivität allein nicht ausgelöst werden. Relevant bleiben sie trotzdem als Hintergrund für jede texanische Website, die über andere Werkzeuge, Formulare oder Kontofunktionen separat sensible Daten erhebt — die gesamte Datenschutzerklärung einer Website sollte alle eingesetzten Werkzeuge abdecken, nicht nur dieses eine.

Ab 1. Januar 2025 müssen größere texanische Verantwortliche und Auftragsverarbeiter ein Opt-out-Präferenzsignal anerkennen, das ein Verbraucher über Browser oder Gerät sendet — vergleichbar mit dem unter kalifornischem Recht anerkannten Global-Privacy-Control-Signal —, und es als gültigen Widerspruch gegen den Verkauf personenbezogener Daten oder gezielte Werbung behandeln, soweit diese Aktivitäten vorliegen. Da lead.box keine personenbezogenen Daten verkauft und Besucherdaten nicht für gezielte Werbung nutzt, und da die Erkennung auf Firmenebene nicht auf Werbeidentifikatoren oder websiteübergreifendes Tracking angewiesen ist, das ein solches Signal stoppen soll, ändert diese Pflicht grundsätzlich nichts am Betrieb des Produkts. Trotzdem lohnt es sich, in der eigenen Datenschutzerklärung festzuhalten, wie die Website insgesamt auf solche Signale reagiert, besonders wenn andere Werkzeuge auf derselben Website werbebezogene Datenweitergabe nutzen.

Texanische Käufer in Energiedienstleistung, Industriefertigung und Logistik prüfen Anbieter meist pragmatisch statt anhand einer Compliance-Checkliste: eine Beschreibung des Datenflusses, eine unterschriebene Auftragsverarbeitungsvereinbarung, die Bestätigung des Speicherorts und eine klare Antwort darauf, ob personenbezogene Daten oder Werbeidentifikatoren beteiligt sind. Einkaufsteams, die an lange Verkaufszyklen und Freigaben durch mehrere Stakeholder gewöhnt sind — typisch für Energie- und Industriebranchen — kommen meist schneller voran, wenn ein Anbieter diese Unterlagen von sich aus bereitstellt, statt darauf zu warten, gefragt zu werden. lead.box stellt eine schriftliche Auftragsverarbeitungsvereinbarung bereit, legt offen, dass die Verarbeitung in ISO-zertifizierten EU-Rechenzentren stattfindet, und erklärt unmissverständlich, dass es die besuchende Firma und keine namentlich bekannte Person identifiziert — dieselben Unterlagen, die ein europäischer Käufer erwarten würde, angepasst an den texanischen Prüfprozess, und kein Ersatz für die eigene rechtliche Prüfung des Käufers.